Activer Azure MFA pour les utilisateurs invités

Lorsque vous disposez d’un tenant Microsoft, vous utilisez automatiquement l’outil permettant de gérer vos utilisateurs et leurs identités. Il s’agit d’Azure Active Directory. Et c’est dans cet annuaire que vous pourrez créer vos utilisateurs et les groupes permettant d’accéder aux services SaaS de Microsoft (Office 365, services Azure, etc.).

Introduction

Les utilisateurs pouvant accéder à vos services (Exchange Online, SharePoint Online, etc.) peuvent donc être synchronisés (depuis un AD on-prem), créés directement dans le cloud ou bien provenir d’un autre tenant partenaire. C’est ce que l’on appelle les utilisateurs invités ou Guests (via Azure AD B2B ou Azure AD B2C – plus d’infos en suivant ce lien).

Il est donc essentiel de sécuriser l’accès à vos ressources pour ces utilisateurs invités. Pour ce faire, nous allons créer une règle Conditional Access permettant d’imposer l’utilisation de l’authentification forte pour ces utilisateurs.

Création d’une nouvelle règle Conditional Access

Connectez-vous à votre Azure Active Directory avec votre compte Global Administrator. Rendez-vous ensuite dans Azure Active Directory puis Security et enfin Conditional Access.

Nous allons créer une nouvelle stratégie. Cliquez sur New policy.

Donnez un nom à votre stratégie puis dans Users and groups vous verrez que vous avez la possibilité de sélectionner uniquement « All guest and external users« . D’ailleurs au moment de la rédaction de cet article – il s’agit d’une fonctionnalité en preview.

Imposer Azure MFA pour les utilisateurs invités

Ensuite, il ne nous reste plus qu’à autoriser l’accès mais demander l’authentification multi-facteur pour tous les utilisateurs invités.

Notez que lors de la première authentification si les utilisateurs ne disposent pas de MFA ou de numéro enregistre, Azure demandera aux utilisateurs de renseigner un numéro de téléphone pour pouvoir appliquer Azure MFA lors de la prochaine authentification.

C’est déjà terminé. Vous pouvez activer votre policy. Lors de la prochaine connexion d’un utilisateur invité celui-ci devra confirmer son identité avec l’utilisation du code SMS, d’un appel téléphonique ou via l’utilisation de l’application Microsoft Authenticator. 🙂

Plus d’informations sur Azure Conditional Access sur le site officiel de Microsoft.